Dotaz: ncrack kreknutie ftp hesla

[adrinko]

Ahojte, vcelku ma vystrasila jedna vec, ktoru mi spomenul kamos. A sice, ze sa da cez ncrack zvonku "preskenovat" moja_IP:21 a najst heslo pre uzivatela "kleopatra" na mojom debiane.

Prosim Vas, ako to mam nasimulovat, ci sa to naozaj da? skusal som ncrack -v --user kleopatra IP:21, ale dalej som sa nepohol, nic mi nenaslo

Ako sa to heslo da zistit? (nemyslim si, ze by kamos pouzil nejaky slovnikovy utok, nemam tam totiz bezne jednoduche heslo)

Odpovědi

[NN]

Tak brute force proste existuje, take odposlech hesla bude realny.. Ale, pokud pouzivas dostatecne aktualni SW zadne zasadni riziko ti nehrozi. Na tvem miste bych se zajimal o dalsi dostupne moznosti zabezpeceni FTP protokolu(ssl,tls) a techniky, ktere posili konfiguraci(chroot,prava).

[pavlix]

Ale, pokud pouzivas dostatecne aktualni SW zadne zasadni riziko ti nehrozi.

Jistě. Zvlášť pokud má pod účtem kleopatra třeba nějaké zajímavé fotky :).

[Andrej]

Proč by někdo ve 21. století používal FTP? Obávám se, že právě v tom je nakonec celá podstata problému.

[Jendа]

Já se obávám, že podstata problému je ve slovníkovém hesle, a s tím nepomůže ani SSH ani jiný protokol.

[Andrej]

Tam pomůže jedině autentifikace certifikátem, protože soukromý klíč bude útočník hádat hodně dlouho. Někdy se taky vyplatí to hádání ztížit vhodným automatickým zakazováním podle IP adres, ale s tím mám celkem špatné zkušenosti, protože drtivá většina dostupných řešení naprosto ignoruje IPv6.

[Jendа]

nemam tam totiz bezne jednoduche heslo

Ale ncrack funguje přesně takhle…

To přihlášení máš určitě zalogované.

[petrfm]

To jako ftp samo o sobe nema nejakou ochranu proti bruteforce utoku? To se musi vsechno resit na urovni treba fail2ban, atd?

[Filip Jirsák]

FTP je protokol, takže je logické, že ochranu proti bruteforce útoku nemá. Ochranu mohou mít implementace. Fail2ban není řešení.

[Jendа]

Ne; ano. A nepřijde mi to na závadu.

[petrfm]

Proc neni fail2ban reseni? Co je lepsi? A tim padem ma stejny problem treba samba? Nebo dokonce SSH? (Pouzivam hesla, certifikaty mi moc nevoni) Jak se to tedy da resit, aby mi nekdo bruteforce utokem neprolamal hesla?

[Jendа]

A tim padem ma stejny problem treba samba? Nebo dokonce SSH?

Samozřejmě.

Jak se to tedy da resit, aby mi nekdo bruteforce utokem neprolamal hesla?

Používat hesla, která nejdou zlomit brute-force útokem.

[petrfm]

No, hele, jestli tam neni zadne casove omezeni a da se do toho "busit" nonstop, tak prece neni problem brute force utokem udelat i alfanumericke heslo o 20 znacich? Michat do toho ascii znaky, na to nemam hlavu a notysek nenosim

[petrfm]

Proste jsem tak trochu predpokladal, ze ve chvili, kdy se nekdo 20x pokusi uhodnout heslo, to nejaka vyssi linuxova moc zablokuje. A kdyz to nekdo zkusi 50x, at ho to odstrihne treba na dva dny.

Resi tohle fail2ban? Ne, vazne, ja v linuxu nic takovyho zatim nemam, pouzivam docela lehky hesla a prave ted jsem zacal mit bobky

[petrfm]

Na svou obhajobu, aby si nekdo o mne nemyslel, ze jsem uplny pitomec, musim dodat, ze zadnou z tech sluzeb nemam pristupnou z venku jinak, nez pres VPN. Takze to riziko je tam jen ve chvili, kdy se nekdo dostane do vnitrni site. Nejde o sluzby vystavene na verejne IP, ale presto bych bych byl rad, kdyby to pri pokusech o utok odpojilo utocnika.

[Jendа]

No, hele, jestli tam neni zadne casove omezeni a da se do toho "busit" nonstop, tak prece neni problem brute force utokem udelat i alfanumericke heslo o 20 znacich?

Jako třeba 10²⁴ let při 1000 pokusech za sekundu?

[lertimir]

nebo obráceně když by do toho bušil celou dobu existence planety země tedy cca 4*10^9 let tak potřebuje 5*10^18 pokusů za sekundu.

[Šangala]

Nebo to trefí na po-500-té

[nobody]

alfanumericke 20mistne heslo na 500 pokus ? to uz spis kdyz zasadis pecku ze svestky tak ti vyroste dinosaurus ;)

[Šangala]

Jsem si jistý, že nevyroste, ale šance na 500 pokus existuje.

[Filip Jirsák]

Proc neni fail2ban reseni?

Když chcete řešit problém hádání hesel, je řešením například nastavit politiku na hesla, aby byla dostatečně silná, nebo v horším případě omezit na serveru počet pokusů o přihlášení. Fail2ban místo toho čte logy a nastavuje firewall.

Co je lepsi?

Používat dostatečně silná hesla.

A tim padem ma stejny problem treba samba?

Stejný problém má vše, kde používáte slabá hesla.

Nebo dokonce SSH? (Pouzivam hesla, certifikaty mi moc nevoni)

Musel byste mít dost dlouhé heslo, aby bylo stejně bezpečné jako klíč. Přihlašování klíčem je jednoduché, bezpečnější, pohodlnější - nebylo by jednodušší začít ho používat místo pokusů zabezpečit přihlášení se slabým heslem?

Jak se to tedy da resit, aby mi nekdo bruteforce utokem neprolamal hesla?

Tak, že nepoužíváte slabá hesla. Pokud to bude vycházet tak, že pro uhodnutí vašich přihlašovacích údajů potřebuje útočník v průměru delší dobu, než je současné odhadované stáří vesmíru, asi vás útok hrubou silou nemusí moc trápit.

[Petr]

Když chcete řešit problém hádání hesel, je řešením například nastavit politiku na hesla, aby byla dostatečně silná, nebo v horším případě omezit na serveru počet pokusů o přihlášení. Fail2ban místo toho čte logy a nastavuje firewall

mozna jsem natvrdlej ale neni tohle prave lepsi? podle me je lepsi blokovat napr IP po 5ti pokusech nez mit hustodemonskykrutoprisne heslo ktere vnucujes uzivatelum ktere logicky taky snaze zapomenou, nez mit logy "zasrane" tisici najivnich pokusu to heslo zlomit?

[Jendа]

podle me je lepsi blokovat napr IP po 5ti pokusech

Dneska se pro necílené útoky stejně většinou používají botnety, kde každý bot (jiná IP) zkouší jen pár hesel.

nez mit logy "zasrane" tisici najivnich pokusu to heslo zlomit

Proč to loguješ?

[Petr]

Dneska se pro necílené útoky stejně většinou používají botnety, kde každý bot (jiná IP) zkouší jen pár hesel.

mam opacnou zkusenost, co IP to par desitek az set pokusu

Proč to loguješ?

1)vetsina softu to ma automaticky, takze kdyz na to nekdo zapomene znamena to obrovske mnoztvi bordelu
2)mam rad ve vsem prehled, vetsinu veci mam automatizovanou takze jednou tydne si vyjedu prehledy z logu at vim co se kde deje, kam se kdo pokousel dostat aniz by na to mel prava apod, nemam naladu ani cas na to prohrabavat se strankama bordelu kvuli botnetum

[Jendа]

vetsinu veci mam automatizovanou takze jednou tydne si vyjedu prehledy z logu

Vidíš, tak je můžeš snadno filtrovat.

[Vantomas]

Proč to loguješ?

Však se to má od nového roku hlásit do nějakého toho kybernetického úřadu, ne? Co řádek s neúspěšným přihlášením, to jedno hlášení.

[Filip Jirsák]

To, že z IP adresy přišlo 5 chybných pokusů o přihlášení, neznamená, že 6. pokus nebude od oprávněného uživatele. Navíc útočník může docela snadno útočit z různých IP adres. K SSH povoluji jenom přihlášení klíčem, jinak preferuji SSO. A pokud už opravdu zbývá jen přihlášení heslem, může uživatel použít nějaký správce hesel. Když uživatel heslo zapomene, není to ohrožení bezpečnosti systému.

Když mne tisíce naivních pokusů zlomit heslo nezajímají, není důvod to logovat nebo se těmi logy zabývat. Logy jsou pomůcka pro řešení problémů. Je nesmysl bezpečnostní nastavení měnit proto, aby se něco objevilo nebo neobjevilo v logu.

[Petr]

To, že z IP adresy přišlo 5 chybných pokusů o přihlášení, neznamená, že 6. pokus nebude od oprávněného uživatele.

trochu mimo ne? 99% utoku je z Ciny, SSSR, USA.. bavime se tu o malem servru, ne o nejakem globalnim reseni pro celosvetovy server, tam by takova situace mohla nastat..

SSH povoluji jenom přihlášení klíčem, jinak preferuji SSO.

SSH neresim, tam davam nestandardni port to odfiltruje botnet a jakykoliv pokus o log na SSH na nestandardnim portu si beru osobne, FTP je neco jineho kvuli ruznym klientum a BFU neni mozne prehazovat port jen tak

Když mne tisíce naivních pokusů zlomit heslo nezajímají, není důvod to logovat nebo se těmi logy zabývat. Logy jsou pomůcka pro řešení problémů. Je nesmysl bezpečnostní nastavení měnit proto, aby se něco objevilo nebo neobjevilo v logu.

jako vazne? a nemyslim tim posledni vetu... beru to jako sarkasmus.. nebudu to radeji dal komentovat

[Filip Jirsák]

trochu mimo ne? 99% utoku je z Ciny, SSSR, USA..

To neznamená, že součástí botnetu nemůže být počítač vašeho souseda. Nebo že uživatel zazmatkuje, párkrát zadá špatné heslo, pak si nevšimne, že má prohozené Y a Z, a pět pokusů je pryč. Každopádně pokud je problém, že by útočník mohl uhádnout slabé heslo, je požadování silného hesla dost přímočaré řešení. Blokování IP adres je naproti tomu řešení dost velkou oklikou, a je otázka, zda se na tom výletě nezapomnělo, co se vlastně řeší za problém.

SSH neresim, tam davam nestandardni port to odfiltruje botnet

Aby to také jednou neodfiltrovalo vás, až budete v síti, kde je povolený odchozí provoz jen na dobře známé porty. Navíc takhle řešíte jen hloupé botnety, před trochu chytřejším nebo cíleným útokem se rovnou vzdáváte?

jako vazne? a nemyslim tim posledni vetu... beru to jako sarkasmus.. nebudu to radeji dal komentovat

Jako vážně. Logy jsou jenom pomůcka. Upravovat v konfiguraci cokoli jenom kvůli logům (samozřejmě mimo konfigurace samotného logování) je diletantismus nejhoršího kalibru. Pokud se mi něco nelíbí na logu, je potřeba to řešit konfigurací logování, pokud to jde, nebo následným zpracováním logu. Jinak byste také mohl povolit přihlášení pod libovolným jménem a s libovolným heslem, to by vám také „problém“ s hláškami o neúspěšných pokusech o přihlášení vyřešilo… (Ano, tahle poslední věta je sarkasmus.)

[petrfm]

Pouzivat klice pro pristup k SSH mi prijde jako spatne mineny linuxovy vtip. Ctu o tom tak dlouho, co se linuxem zabyvam a pouzivam ho (necele dva roky) a stejne mi to porad nejde do hlavy, jestli to nekdo fakt s klidem pouziva.

Co kdyz budu mit v NB seznam klicu pro prihlaseni se ke vsem svym strojum a nekdo mi ten ucet hackne? Hmm? Tak ma razem pristup na vsechny stroje. Kdyz se budu pokazde prihlasovat na kazdy stroj rucne a heslem, i kdyz pouziju jednoduche slovnikove heslo, je riziko podstatne mensi, za predpokladu, ze nekdo nenainstaluje keylogger.

Nebo mi neco unika? Prijde mi to, jako pouzivat svazek klicu, ktery valim na stole v supliku, nebo mit vsude kodove zamky, hesla si nosit v hlave a odemykat zadanim kodu. Jasne, nekdo mi muze pri odemykani koukat pres rameno, ale porad je to mene pravdepodobne, jako ze proste vezme ze stolu svazek klicu a pujde tam, kde je na klici napsana adresa. Co je bezpecnejsi?

[nobody]

podivej se na to presneji, mas dvere do bytu s klicem na kterej neni paklic a dvere nejdou vykopnout, budes radeji pouzivat ten klic co nosis u sebe(a teoreticky by ho mohl ziskat ten kdo ti ho ukradne), nebo das na dvere kodovej zamek se slovnik heslem napr 1234 (a prakticky ho bude moci uhodnout kdokoliv pujde kolem a parkrat to zkusi) ? :)

[Zopper]

Pokud někdo získá přístup k tvému účtu v NB a moc mu na tom záleží, tak jsi stejně kompromitovaný, protože keyloger. Ale jestli ti jde jen o zlomyslného kolegu, tak ty klíče můžeš taky zaheslovat. Takže na přihlášení potřebuješ mít klíč, ale abys ho získal, musíš ho odšifrovat, na což potřebuješ heslo. Nastavuje se to rovnou při vytváření toho SSH klíče.

[Jendа]

Pokud někdo získá přístup k tvému účtu v NB a moc mu na tom záleží, tak jsi stejně kompromitovaný, protože keyloger.

Ne. „Získat přístup k notebooku“ taky může znamenat „získal jsem přístup k notebooku, ale majitel se o tom dozvěděl, proto už ten systém nebude používat a keylogger bude k prdu“. Příkladem takového útoku je to, co se stalo panu Silkroadovi.

[majales]

SSH klíče se většinou chrání pomocí hesla. Takže i kdyby se vám stalo, že vám ty klíče někdo scizí tak mu bez hesel nejsou k ničemu.

[Filip Jirsák]

Pokud vám někdo z notebooku ukradne přihlašovací klíč (nechápu, proč byste jich tam měl více), pořád ještě k němu nezná heslo. A zatímco se ho bude pokoušet rozlousknout, vy máte fůru času na to ten klíč všude vyměnit.

Uniklo vám zřejmě to, že i přihlašovací klíč může být chráněn heslem. Nebo ho můžete mít třeba na nějakém tokenu nebo čipové kartě.

[petrfm]

Tak to mi asi uniklo, to je pravda. To heslo se zadava pri pouziti? Kam? Normalne se pripojim pres ssh na ip stroje a on mne vyzve k zadani hesla?

[Filip Jirsák]

Já heslo zadávám, když klíč nahrávám do agenta. Ostatní aplikace si pak klíč „berou“ odsud, takže heslo zadávám zpravidla jenom jednou při přihlášení k pracovní stanici. Bez agenta by se měl SSH klient na heslo dotázat.

[petrfm]

Hmm, stejne asi zustanu u hesel Prece jenom, kdyz se pak chci prihlasit z jineho zarizeni, neni treba nahravat klic, atd. Navic, kdybych zakazal prihlaseni heslem, byl by pruser, nedostal bych se tam. Takze tam stejne ta "bezpecnostni dira" zustane, tak proc delat hnedka dve diry - klic+heslo, kdyz staci jedna

[Filip Jirsák]

Já na svých zařízeních klíče mám (na každém zařízení jiný), a jiným zařízením nedůvěřuju tolik, abych na nich zadával heslo.

[Jendа]

Pozor, ke každému stroji musíš mít jiné heslo. Jinak se stane, že někdo vyhackuje ten stroj, heslo si odposlechne a přihlásí se na všechny ostatní.

[petrfm]

jasne.. a myslis, ze mam jine heslo? proste na to clovek se-e, dokud se neco nestane budu se nad tim muset vazne zamyslet..

Da se vlastne nejak efektivne zjistit, ze se na stroj nekdo prihlasil? Vsechny me stroje obsluhuju jenom ja, takze kdyz mi prijde email, jakmile se nekdo zaloguje, bylo by to dostacujici varovani.

Jenomze, to stejne neresi pripad, kdy se nekdo do systemu dostane skrze nejakou diru a ziska prava roota. Pak to neni bezne prihlaseni treba pres ssh a takovy system informovani selze.

[Luboš]

Dobry den.

Zalezi na tom, jaky ftp server pouzivate. Pro FTPD by by vam mohl pomoci tento zdroj:

How to stop proftpd brute force attempts by username?

http://forum.directadmin.com/showthread.php?t=45599

Zdravim. Lubos

[adrinko]

Ahojte, dakujem vsetkym, co rozprudili tuto diskusiu :) Je velmi poucne sledovat vsetky nazory.

[eagle.metawerzum]

Prostě je potřeba použít silné heslo. Jako hrabě Nikolič, který uložil celé synkovo jmění do peněžního ústavu na heslo: "Dobro je prisjetiti se da prividno prav put prema cilju predstavja u stvari pravodlivo krivudanje". .... Na tom si vyláme zuby i Enigma.

[Peter Golis]

Ale na druhú stranu sa také heslo dá bez problémov odpočuť keďže spomínaný FTP nepoužíva enkrypciu.